A falha no sistema podia ser explorada toda vez que alguém enviava uma mensagem de foto ou vídeo para um smartphone.
O Google disse que corrigiu o problema, mas que milhões de aparelhos precisam atualizar o seu software.
A falha, segundo os pesquisadores, era “extremamente perigosa”.
Ela permitia que hackers enviassem um código malicioso dentro de uma mensagem de multimídia que podia acessar um serviço dentro do Android chamado Stagefright.
Depois de o Stagefright ser ativado – mesmo sem ação do dono do celular neste sentido -, outros aplicativos ou dados do aparelho podiam ser acessados pelo código malicioso.
“Estas vulnerabilidades são extremamente perigosas pois não precisam de nenhuma ação da vítima para serem exploradas”, escreveram os pesquisadores, da companhia americana especializada em segurança Zimpherium.
Para eles, esta é a mais grave vulnerabilidade do Android já registrada e afetou 950 milhões de aparelhos.
Os pesquisadores vão revelar mais detalhes sobre esta falha no Android em uma conferência sobre segurança em Las Vegas na semana que vem.
Acesso à câmera
James Lyne, diretor global de pesquisa em segurança na companhia Sophos, afirmou que a vulnerabilidade afeta uma “enorme variedade” de telefones que usam o Android a partir da versão 2.2.
“Em alguns dispositivos, essa vulnerabilidade significou que o responsável pelo ataque podia acessar todos os tipos de conteúdo no aparelho ou acessar recursos como a câmera”, disse.
A Zimpherium, por sua vez, notificou o Google, que, em seguida, produziu uma atualização para consertar o problema.
No entanto, milhões de aparelhos ainda estão sem esta atualização pois os fabricantes e as operadoras de celulares precisam distribuir estas atualizações e os usuários podem, manualmente, rejeitar as atualizações.
“Esta vulnerabilidade foi identificada em um ambiente de laboratório (usando) dispositivos com Android mais velhos e, até onde sabemos, ninguém foi afetado”, informou o Google em uma declaração.
A empresa disse que disponibilizará mecanismos de proteção em código aberto em breve.